本安全附录是Databricks, Inc. ("砖)和引用本安全附录("协议”)。Databricks根据行业标准安全框架(包括ISO 27001和ISO 27018)(“安全计划”)。根据安全计划，Databricks实施并维护行政、物理和技术安全措施，以保护Databricks在提供平台服务或支持服务时处理的“平台服务”和“支持服务”的“客户内容”(包括其中可能包含的任何客户个人数据)(各项定义见本协议)的安全性和保密性。bob体育客户端下载安全措施”)。Databricks遵守本附录应被视为满足任何协议中包含的任何更一般的措施，包括服务特定条款．根据其安全计划，当任何客户内容处于其控制之下时，Databricks将:(i)遵守以下关于该等客户内容的安全措施，以及(ii)在相关情况下，保存该等安全措施的文件。Databricks定期测试和评估其安全程序，并可在不另行通知的情况下随时查看和更新本安全附录，前提是此类更新等同于(或增强)安全性，且不会实质性降低这些安全措施对客户内容提供的保护级别。

1. 部署模型
   1. 共同的责任．Databricks采用共享责任模式，Databricks和客户共同承担安全责任。这在我们的文档．
   2. 体系结构．Databricks是一个混合平台即服务的产品bob体育客户端下载。负责管理和控制平台服务的组件被称为“Databricks控制平面”，并托管在Databricks云服务提供商帐户中。bob体育客户端下载执行数据处理操作的计算资源被称为“数据平面”。对于某些云服务提供商，数据平面可以部署在“客户”的云服务提供商帐户(称为“客户数据平面”)中，对于Databricks无服务器计算，则部署在Databricks控制的云服务提供商帐户(称为“Databricks数据平面”)中。除非另有规定，数据平面应同时指客户数据平面和数据平面。
   3. 计算资源．计算资源由数据控制平面创建和协调，并部署到数据平面中。计算资源作为新的虚拟机启动，这些虚拟机利用了最新的基本映像和Databricks源代码，并且没有以前的计算机的数据。当计算资源终止时，其本地硬盘上的数据将被Databricks或Cloud Service Provider覆盖。
   4. 客户内容的数据存储．
      1. 客户数据和客户结果．
         1. 客户控制．大多数客户数据存储在客户自己的云服务提供商帐户中(例如，存储在客户的AWS S3存储桶中)，或存储在客户控制下的其他系统中。客户可以选择此客户数据所在的位置(DBFS根目录除外，该根目录被部署到数据平面所在区域的适用云服务提供商的存储桶中)。请参阅文档欲知详情。
         2. 砖控制．少量的客户数据可能存储在Databricks控制平面中，包括客户结果和关于客户数据的元数据(例如，包含在metastore中)。Databricks为客户提供了关于在平台服务中存储某些客户内容的选项(例如，使用交互式笔记本创建的客户结果的位置)。bob体育客户端下载请参阅文档欲知详情。
      2. 客户指导性输入．客户指导性输入静态存储在Databricks控制平面中。
2. 部署地区．客户可以指定部署其平台服务工作区的区域。bob体育客户端下载客户可以选择将数据平面部署到任何受支持的Databricks区域。数据库控制平面部署在同一区域。未经客户许可，Databricks不会将客户工作区移动到其他区域。看到文档了解客户云服务提供商的详细信息。
3. Databricks的审计和认证．Databricks使用独立的第三方审核员至少每年对Databricks安全计划进行评估，如以下审计、监管标准和认证所述:
   • SOC 2第II类(根据NDA提供报告)
   • ISO 27001
   • ISO 27018
   • HIPAA (AWS，用于符合HIPAA的部署)
   • PCI DSS (AWS，用于PCI兼容部署)
4. 管理控制
   1. 治理．Databricks首席安全官领导Databricks的信息安全计划，并(与法务、人力资源、财务和工程等其他利益相关者一起)制定、审查和批准Databricks的安全政策(定义如下)。
   2. 变更管理．Databricks维护一个文档化的变更管理政策，每年进行评审，其中包括但不限于评估系统认证的变更或与之相关的变更。
   3. 主义;政策和程序。Databricks已实施正式的资讯保安管理系统(“主义)，以保护Databricks数据和信息系统的机密性、完整性、真实性和可用性，并确保对支持运营的数据和信息系统的安全控制的有效性。根据ISMS实施的Databricks安全计划包括一套全面的隐私和安全政策和程序，由安全、法律、隐私和信息安全团队制定和维护(“安全策略”)。安全政策与信息安全标准(如ISO 27001)保持一致，涵盖的主题包括但不限于:访问客户工作区时的安全控制;客户内容的保密性;合理使用公司技术、系统和数据;报告保安事故的程序;以及隐私和安全最佳实践。每年审查和更新安全政策。
   4. 人员培训。员工入职后接受全面的安全政策培训，并每年进行进修培训。员工必须证明并同意安全政策，违反安全政策的人员将受到纪律处分，包括警告、停职，直至(包括)解雇。
   5. 人员筛选与评估．所有人员在入职前都要接受背景调查(当地法律允许)，包括但不限于犯罪记录调查、工作经历调查、教育背景调查以及全球制裁和执法调查。Databricks使用第三方提供商进行筛选，筛选因司法管辖区而异，并遵守适用的当地法律。员工必须签署保密协议。
   6. 监控与记录．Databricks采用监控和日志技术来帮助检测和防止对其网络和设备的未经授权的访问尝试。
   7. 访问审查．访问平台服务的活跃用户至少每季度接受一次审查，并在终止雇佣关系时bob体育客户端下载立即被移除。作为人员离机过程的一部分，所有访问都被撤销，数据资产被安全地擦除。
   8. 第三方风险管理．Databricks评估适用第三方(包括供应商和子处理器)的安全合规性，以衡量和管理风险。这包括但不限于在聘用前进行安全风险评估和尽职调查，以及至少每年审查来自关键供应商的外部审计报告。此外，适用的供应商和子处理器必须签署一份数据处理协议，其中包括遵守适用的数据保护法律以及保密要求。
5. 物理及环境控制
   1. Databricks公司办公室。Databricks已经为其公司办公室实施了管理、物理和技术保障。这些包括但不限于以下内容:
      • 访客必须签到，承认并接受保密协议，佩戴身份徽章，并在Databricks工作人员的陪同下进入办公场所
      • 将人员胸牌录入办公室
      • 徽章未经授权不得共享或借给他人
      • 办公场所的物理入口由闭路电视记录，每个门都有门禁卡验证系统，只允许授权的员工进入办公场所
      • 设备和其他databicks发行的资产进行了盘点和跟踪
      • 办公室Wi-Fi网络通过加密、无线流氓检测和网络访问控制进行保护
   2. 云服务提供商数据中心．Databricks定期审核符合ISO 27001、SOC 1、SOC 2和PCI-DSS的云服务提供商审计。安全控制包括但不限于以下列表:
      • 生物识别设备访问控制
      • 访客设施访问政策和程序
      • 24小时武装保安
      • 入口处和出口处都有监控
      • 入侵检测
      • 业务连续性和灾难恢复计划
      • 烟雾探测传感器和灭火设备
      • 控制温度、湿度和漏水的机制
      • 电源冗余，备份电源
6. 系统与网络安全
   1. bob体育客户端下载平台控制．
      1. 隔离．Databricks利用多层网络安全控件，包括网络级隔离，用于在Databricks控制平面和客户数据平面之间以及在Databricks数据平面内的工作区之间进行分离。参见有关文档Serverless计算有关无服务器计算和非无服务器计算之间差异的详细信息。
      2. 防火墙和安全组．防火墙作为云服务提供商帐户内的网络访问控制列表或安全组实现。Databricks还在客户数据平面内配置本地防火墙或安全组。
      3. 硬化。
         1. Databricks采用行业标准对平台服务中部署的映像和操作系统进行加固，包括部署具有加固安全配置的基线映像，例如禁用远程根登录、隔离用户代码以及定期更新和刷新映像。bob体育客户端下载
         2. 对于在Databricks控制下支持生产数据处理环境的系统，Databricks根据CIS和STIG等行业标准基线跟踪安全配置。
      4. 加密
         1. 传输数据的加密．客户内容在(1)客户和数据控制平面之间以及(2)数据控制平面和数据平面之间传输时使用加密安全协议(TLS v.1.2或更高版本)进行加密。此外，根据云服务提供商提供的功能，客户可以选择加密数据平面内集群之间的通信(例如，通过使用适当的AWS Nitro实例)。
         2. 静止数据的加密．客户内容在Databricks控制平面内静止时，使用加密安全协议(AES-128位或同等或更好的协议)进行加密。此外，根据云服务提供商提供的功能，客户可以选择在数据平面内加密客户内容。看到文档有关“本地磁盘加密”的详细信息。
         3. 审查．定期审查密码标准，并根据评估的风险和市场对新标准的接受程度更新所选的技术和密码。
         4. 客户的选择;责任．如文档中所述，客户可以选择对客户数据平面或Databricks数据平面内的传输数据利用额外的加密选项(例如，客户可以利用客户数据平面内的AWS Nitro EC2实例来提供额外的传输加密)。“客户”应根据“客户内容”的敏感性，配置“平台服务”和“客户系统”，在适当情况下对“客户内容”进行加密(例如，对存储在AWS S3中的数据启用静态加密)。bob体育客户端下载
      5. 监控与记录
         1. 入侵检测系统．Databricks利用云服务提供商本地提供的安全功能进行安全检测。
         2. 审计日志．
            1. 一代．Databricks根据“用户”使用“平台服务”的情况生成审计日志。bob体育客户端下载日志旨在存储平台服务中有关重大事件的信息。bob体育客户端下载
            2. 交付．根据平台服务的授权级别，用户可以启用审计日志的交付。bob体育客户端下载客户有责任配置此选项。
            3. 完整性．Databricks对审计日志进行了严格的存储保护，防止审计日志被篡改。
            4. 保留．Databricks至少保留一年的审计日志。
      6. 渗透测试．Databricks每年至少进行一次第三方渗透测试，雇佣内部攻击性安全人员，还维护一个公共漏洞赏金计划。
      7. 漏洞管理与修复．Databricks定期对SDLC管道中的代表性主机运行经过身份验证的扫描，以识别可能影响数据平面和Databricks控制平面的漏洞和新出现的安全威胁。Databricks将采取商业上合理的努力，在14天内解决严重漏洞，在30天内解决严重漏洞，在60天内解决中等严重漏洞，对于公开宣布的第三方漏洞，从供应商提供的兼容补丁可用之日起计算，或对于内部漏洞，从该漏洞被确认之日起计算。Databricks利用国家漏洞数据库的通用漏洞评分系统(CVSS)，或者在适用的情况下，使用U.S.-Cert评级，并结合上下文风险的内部分析来确定临界性。
      8. 打补丁．
         1. 控制飞机．Databricks在持续的基础上将新代码部署到Databricks控件。
         2. 数据平面．新的数据平面虚拟机在启动时使用最新的可应用源代码和系统映像，不需要Databricks修补活动系统。鼓励客户定期重新启动始终在线的集群，以利用安全补丁。
      9. Databricks人员登录到客户工作区．Databricks利用一种名为“Genie”的内部技术和组织控制工具，允许Databricks人员登录到客户工作区，为客户提供支持，并允许有限的Databricks工程人员登录到某些平台服务基础设施。bob体育客户端下载“客户”可以有选择地对Databricks人员访问“客户工作区”的能力配置某些限制。请参阅文档有关“Genie”的详细信息，包括提供哪些云服务提供商。
   2. 企业控制。
      1. 访问控制
         1. 身份验证．Databricks人员的身份验证采用单点登录(SSO)、802.1x(或类似)认证方式，使用唯一的用户ID和密码组合以及多因素身份验证。特权与最小特权原则一致。安全策略禁止人员共享或重用凭据、密码、id或其他身份验证信息。如果您的标识提供程序支持SAML 2.0协议，您可以使用Databricks的SSO与您的标识提供程序集成。
         2. 基于角色的访问控制(rbac)。只有被授权的角色才能访问处理客户和个人数据的系统。Databricks执行rbac(基于安全组和访问控制列表)，并基于“最小特权”原则和职责隔离限制对客户内容的访问。
      2. Pseudonymization．在适当情况下，使用唯一随机用户标识符保护存储在活动日志和数据库中的信息，以降低重新识别数据主体的风险。
      3. 工作站控制: Databricks对其员工使用的工作站实施某些安全控制，包括:
         • 全盘加密
         • 反恶意软件的软件
         • 15分钟不活动后自动锁定屏幕
         • 安全的VPN
7. 事件检测与响应
   1. 侦查与调查．Databricks的专用检测工程团队在其计算资源上部署和开发入侵检测监控，并将警报通知发送到安全事件响应团队(SIRT)，以进行分类和响应。SIRT采用事件响应框架来管理和最小化计划外安全事件的影响。
   2. 安全事故;安全漏洞．“安全漏洞”是指导致Databricks控制下的客户数据的任何意外或非法破坏、丢失、更改、未经授权的披露或访问的安全漏洞。“安全事件”是指任何未上升到安全漏洞级别的实际或企图违反安全的行为。安全漏洞不应包括不危及客户数据安全的不成功尝试或活动，包括(但不限于)防火墙或边缘服务器的ping和其他广播攻击、端口扫描、不成功的登录尝试、拒绝服务攻击、包嗅探(或对流量数据的其他未授权访问，但不会导致超出头部的访问)或类似事件。Databricks保存已知安全事件和安全漏洞的记录，包括相关活动的描述、日期和时间以及事件处理。可疑和确认的安全事件由安全、操作或支持人员进行调查;确定并记录了适当的解决步骤。对于任何已确认的安全事件，Databricks将采取适当、合理的步骤尽量减少产品和客户的损害或未经授权的泄露。所有事件都记录在事件跟踪系统中，并每年进行审计。
   3. 沟通与合作．根据适用的数据保护法律，Databricks将在客户意识到安全漏洞后立即通知其受到影响的安全漏洞，并采取适当措施解决安全漏洞，包括减轻安全漏洞造成的任何不利影响的措施。
8. 备份、业务连续性和灾难恢复
   1. 业务连续性和灾难恢复。Databricks业务连续性(BC)和灾难恢复(DR)计划每年进行审查和演练。
   2. 数据的灵活性。Databricks为Databricks控制平面(包括存储在其中的任何客户指令性输入)执行备份，通常由云服务提供商功能管理，以便在发生关键系统故障时实现数据弹性。虽然Databricks备份了在Databricks控制平面中持久化的“客户”笔记本，作为其系统弹性的一部分，但这些备份仅用于紧急恢复目的，并且不能应客户的请求用于恢复目的。
   3. 无数据恢复。由于Databricks平台的混合性质，Databricks不为客户内容提供备份，并且bob体育客户端下载Databricks无法根据请求恢复单个客户的教学输入。为了帮助客户备份客户指令性输入，Databricks在平台服务中提供了某些功能(如通过客户的Github或Bitbucket帐户同步笔记本电脑的能力)。bob体育客户端下载
   4. 自助服务的访问。Databricks在平台服务中提供某些功能，允许客户访问、导出和删除Databricks控制平面中包含的某些bob体育客户端下载客户内容(例如，笔记本电脑)。请参阅文档与“管理工作空间存储”相关。
   5. 客户管理备份。客户保留其客户内容的所有权，并必须管理自己的备份，包括在适用的情况下，在存储客户数据的系统内启用备份。
9. 数据删除．
   1. 在使用过程中．平台服务bob体育客户端下载为客户提供允许客户在Databricks的控制下删除客户内容的功能。
   2. 取消工作空间后．客户工作区中包含的客户内容将在取消工作区后三十(30)天内永久删除。
10. 安全软件开发生命周期(SDLC)
    1. 安全冠军．Databricks Engineering和安全组织共同运行了一个安全冠军计划，在该计划中，高级工程师作为安全团队的虚拟成员接受培训和社交。所有工程人员都可以使用安全卫士进行设计或代码审查。
    2. 保安设计检讨．特性设计由安全人员评估其对Databricks平台的安全影响，例如，对访问控制、数据流和日志记录的添加或修改。bob体育客户端下载
    3. 安全培训．工程师必须接受安全SDLC培训，包括但不限于OWASP提供的内容。
    4. 同行代码评审．所有产品代码都必须通过同行代码评审过程。
    5. 变更控制。Databricks的控件旨在安全地管理整个SDLC中的资产、配置和更改。
    6. 代码扫描．定期运行和检查静态和动态代码扫描。
    7. 渗透测试．作为安全设计审查过程的一部分，在发布之前，某些特性会被识别并接受渗透测试。
    8. 代码的批准．在将代码合并到生产环境之前，功能所有者需要批准其职责范围内的代码。
    9. 多因素身份验证．访问Databricks代码存储库需要多因素身份验证。
    10. 代码部署．产品代码通过自动化的持续集成/持续部署(CI/CD)管道流程进行部署。发布管理团队与构建产品的工程团队是分开的。
    11. 生产分离．Databricks将生产平台服务系统与测试和开发平台服务系统分bob体育客户端下载开。

最后修订2021年9月25日